В OpenSSH устранили уязвимость грозящую удаленным исполнением кода

В OpenSSH устранили уязвимость грозящую удаленным исполнением кода

В OpenSSH устранили уязвимость грозящую удаленным исполнением кода

Вышедший на прошлой неделе релиз OpenSSH 9.2 содержит патч для уязвимости double-free, привнесенной с изменением кода в июле прошлого года. Эксплойт маловероятен, однако пользователей призывают обновить продукт, так как опасную ошибку можно вызвать на сервере в дефолтной конфигурации (sshd).

Согласно бюллетеню Qualys, проблема CVE-2023-25136 проявляется при попытке подключения по SSH (при выполнении процесса preauth). Ошибка освобождения блока памяти options.kex_algorithms возникает дважды — при выполнении функций do_ssh2_kex() и do_authentication2().

Эксплуатация сложна в исполнении: современные средства распределения памяти обеспечивают защиту от double-free и ее надо как-то обойти. Более того, уязвимый процесс preauth выполняется с низкими привилегиями и обычно в песочнице.

Уязвимости подвержен только выпуск OpenSSH 9.1, более ранним версиям она не страшна. Затронутым пользователям настоятельно рекомендуют перейти на сборку 9.2.

В новом выпуске устранены еще две проблемы в безопасности:

  • возможность пропуска проверки при использовании опции PermitRemoteOpen;
  • возможность модификации файлов known_hosts в ответах DNS-сервера (эксплойт маловероятен).

МПГУ опроверг сообщения о невыдаче дипломов без мессенджера MAX

Московский педагогический государственный университет прокомментировал слухи о том, что студентам якобы могут не выдать диплом без установки мессенджера MAX. В вузе эту информацию прямо опровергли и подчеркнули, что ни о каком принуждении речи не идёт.

Поводом для комментария стали сообщения, разошедшиеся по телеграм-каналам в последние дни.

Там утверждалось, что у студентов, которые не зарегистрируются в приложении через портал Госуслуг, якобы могут возникнуть проблемы с получением диплома.

В МПГУ заявили, что такие публикации не соответствуют действительности. По словам представителей университета, сообщения о принудительном использовании отечественного мессенджера MAX, как и разговоры о возможных санкциях за отказ от него, не имеют под собой оснований.

При этом сам факт внедрения MAX в университете подтвердили. В МПГУ объяснили это вполне прагматично: вузу нужен удобный и быстрый канал связи со студентами для решения учебных вопросов и оперативной передачи информации.

В администрации отметили, что раньше для этого использовались другие мессенджеры, но из-за их некорректной работы и риска блокировки университет решил подключить отечественный сервис MAX. Его рассматривают как один из инструментов электронной информационно-образовательной среды вуза.

Кроме того, в академических группах уже провели собрания, на которых студентам объяснили, как будет организован переход на новый мессенджер и для чего он нужен в учебном процессе.

Напомним, ранее мы писали о первом штрафе за контент в MAX. 3 марта Абинский районный суд Краснодарского края назначил местному жителю Ивану Кажану штраф 1 тыс. рублей за аватарку в мессенджере.

Потихоньку всплывают и другие судебные решения. Например, в Оренбургской области мировой судья рассмотрел административное дело об оскорблении в MAX и назначил местной жительнице штраф 5 тыс. рублей.

RSS: Новости на портале Anti-Malware.ru